In vielen Unternehmen werden IT-Systeme nach ihrer technischen Funktion betrachtet. Es gibt Server, Clients, Firewalls, Anwendungen, Datenbanken und Benutzerkonten. Aus Sicht eines Angreifers sieht diese Landschaft jedoch völlig anders aus. Für ihn zählt vor allem eine Frage: Welches System oder welche Identität verschafft mir Kontrolle über möglichst große Teile der Infrastruktur?
Genau hier beginnt das Tier-0-Modell. Tier 0 umfasst diejenigen Systeme, Konten und administrativen Zugänge, deren Kompromittierung im schlimmsten Fall die Kontrolle über die gesamte IT-Umgebung ermöglicht. Dazu gehören insbesondere zentrale Identitäts- und Verzeichnisdienste wie Active Directory, Domain Controller, besonders privilegierte Administratorkonten und weitere Komponenten, über die Identitäten, Berechtigungen oder sicherheitskritische Systeme verwaltet werden.
Wer Tier 0 kontrolliert, muss nicht mehr jede einzelne Anwendung angreifen. Er besitzt im schlimmsten Fall bereits die Schlüssel zur Infrastruktur.
Tier 0 ist kein weiteres Netzwerksegment
Der Begriff Tier 0 wird häufig missverstanden. Es geht nicht einfach darum, ein besonders geschütztes VLAN einzurichten und dort einige wichtige Server unterzubringen. Entscheidend sind die Vertrauensbeziehungen innerhalb der IT.
Ein Administrator, der sich von seinem normalen Arbeitsplatz aus an einem Domain Controller anmeldet, schafft beispielsweise eine Verbindung zwischen einer vergleichsweise normalen Arbeitsumgebung und Tier 0. Wird dieser Arbeitsplatz kompromittiert, kann genau diese Verbindung für einen weiterführenden Angriff interessant werden.
Damit wird deutlich, warum klassische Netzwerksegmentierung allein nicht ausreicht. Firewall-Regeln können Kommunikationswege begrenzen. Sie verhindern aber nicht automatisch, dass privilegierte Zugangsdaten auf ungeeigneten Endgeräten verwendet werden oder administrative Protokolle von kompromittierten Systemen aus erreichbar sind.
Die Absicherung von Tier 0 muss deshalb Netzwerk, Identitäten und administrative Zugriffswege gemeinsam betrachten.
Das eigentliche Problem ist der Weg zum privilegierten System
Domain Controller und andere zentrale Systeme stehen normalerweise nicht ungeschützt im Internet. Trotzdem werden sie angegriffen. Der Einstieg erfolgt häufig an einer ganz anderen Stelle.
Ein kompromittierter Arbeitsplatz, ein gestohlenes Administratorkonto, ein infiziertes Notebook oder ein schlecht abgesicherter Fernzugang kann ausreichen, um sich innerhalb der Infrastruktur weiterzubewegen. Besonders kritisch wird es, wenn privilegierte Administratoren dieselben Endgeräte für E-Mail, Internet, Office-Anwendungen und administrative Tätigkeiten verwenden.
Damit entsteht eine direkte Brücke zwischen einer Umgebung mit hoher Angriffsfläche und den wertvollsten Systemen des Unternehmens.
Die entscheidende Frage lautet deshalb nicht nur: „Wie schützen wir unseren Domain Controller?“
Wichtiger ist die Frage: „Wie gelangt ein Administrator überhaupt dorthin?“
Administrative Protokolle sollten nicht am Arbeitsplatz enden
RDP, SSH, VNC und webbasierte Administrationsoberflächen gehören zum Alltag praktisch jeder IT-Abteilung. Problematisch wird es, wenn diese Verbindungen unmittelbar zwischen dem Arbeitsplatz eines Administrators und dem Tier-0-System aufgebaut werden.
Damit wird das Endgerät Teil des administrativen Vertrauenspfades.
Ein anderer Ansatz besteht darin, die eigentliche administrative Sitzung vom Arbeitsplatz zu trennen. Der Browser dient dann lediglich zur Darstellung und Bedienung. Die Verbindung zum Zielsystem wird von einer kontrollierten Zugriffskomponente hergestellt.
Genau an dieser Stelle lässt sich Kyvion Secure Access in eine Tier-0-Architektur integrieren.
Tier-0-Zugriff über Kyvion Secure Access
Kyvion Secure Access ermöglicht den browserbasierten Zugriff auf Systeme über Protokolle wie RDP, SSH, VNC sowie HTTP und HTTPS. Auf dem Arbeitsplatz muss dafür keine entsprechende Clientsoftware für den Zugriff auf das Zielsystem installiert werden.
Der Administrator verbindet sich zunächst mit Kyvion Secure Access. Erst von dort wird die Verbindung zum administrierten System aufgebaut. Dadurch lässt sich der direkte Zugriff vom Arbeitsplatz auf kritische Systeme erheblich reduzieren.
Das verändert die Architektur grundlegend. Der Administrator benötigt beispielsweise nicht mehr zwingend eine direkte RDP-Verbindung vom Notebook zum administrativen Server. Auch eine SSH-Verbindung muss nicht unmittelbar zwischen Arbeitsplatz und Zielsystem bestehen. Der Zugriff kann über eine definierte und kontrollierbare Instanz erfolgen.
Für Tier-0-Umgebungen ist diese Trennung besonders interessant, weil sie administrative Kommunikationswege deutlich stärker einschränken kann.
Keine pauschale Netzwerkfreigabe für Administratoren
Traditionelle Fernzugriffskonzepte basieren häufig auf VPN. Nach erfolgreicher Anmeldung befindet sich das Endgerät zumindest logisch innerhalb eines freigegebenen Netzwerkbereichs. Welche Systeme anschließend erreichbar sind, hängt von Routing, Firewall-Regeln, VPN-Konfiguration und weiteren Sicherheitsmechanismen ab.
Für Tier 0 ist bereits dieser Ansatz diskussionswürdig.
Ein Administrator benötigt normalerweise keinen allgemeinen Netzwerkzugang. Er benötigt Zugriff auf eine konkrete Ressource, beispielsweise einen bestimmten Server, eine Managementoberfläche oder eine administrative Anwendung.
Kyvion Secure Access verfolgt genau dieses Prinzip. Statt einem Benutzer einen Transportweg in das Netzwerk bereitzustellen, kann der Zugriff auf definierte Ressourcen beschränkt werden.
Der Unterschied klingt zunächst klein, ist sicherheitstechnisch aber erheblich: Nicht das Netzwerk wird erreichbar gemacht, sondern die benötigte Anwendung oder administrative Sitzung.
Auch interne Administratoren sind ein Sicherheitsfaktor
Tier-0-Sicherheit wird häufig mit externem Zugriff verbunden. Dabei entsteht ein erheblicher Teil des Risikos innerhalb des Unternehmensnetzes.
Ein Notebook im Büro ist nicht automatisch vertrauenswürdig, nur weil es mit einem internen Switch verbunden ist. Phishing, Schadsoftware, Browser-Schwachstellen und kompromittierte Benutzerkonten machen vor der Bürotür keinen Halt.
Deshalb sollte auch ein interner Administrator nicht automatisch direkten Zugriff auf Tier-0-Systeme besitzen.
Eine konsequente Architektur kann administrative Verbindungen unabhängig vom Standort über denselben kontrollierten Zugriffspfad führen. Ob der Administrator im Büro, im Homeoffice oder an einem anderen Standort arbeitet, verliert dadurch einen Teil seiner sicherheitstechnischen Bedeutung.
Entscheidend ist nicht mehr, wo sich der Benutzer befindet, sondern wer er ist und auf welche Ressource er zugreifen darf.
Besonders kritisch: externe Dienstleister
Noch deutlicher wird der Vorteil eines kontrollierten Zugriffspfades bei externen IT-Dienstleistern.
Systemhäuser, Softwarehersteller und Wartungspartner benötigen häufig administrative Rechte auf einzelnen Systemen. Dafür komplette VPN-Zugänge einzurichten, kann unnötig große Vertrauensbereiche schaffen.
Ein Dienstleister, der einen bestimmten Server warten soll, benötigt keinen allgemeinen Zugang zum Servernetz. Er benötigt genau eine freigegebene Verbindung zu genau diesem System.
Über Kyvion Secure Access können solche Zugriffe gezielt bereitgestellt werden. In Verbindung mit individuellen Benutzerkonten, einer starken Authentisierung und der Aufzeichnung administrativer Sitzungen entsteht ein nachvollziehbarer Zugriffspfad, ohne dem externen Benutzer einen klassischen Netzwerkzugang bereitstellen zu müssen.
Gerade bei Tier-0- und Tier-1-Systemen kann diese Trennung einen erheblichen Sicherheitsgewinn darstellen.
Reverse Agent: Tier-0-Systeme ohne eingehende Verbindung erreichbar machen
Eine weitere Möglichkeit ergibt sich durch den Kyvion Reverse Agent.
Dabei wird die Verbindung aus dem geschützten Bereich heraus aufgebaut. Für den administrativen Zugriff müssen dadurch nicht zwingend zusätzliche eingehende Verbindungen zum geschützten Netzwerksegment geöffnet werden.
Das Prinzip ist gerade für besonders sensible Netzwerkbereiche interessant. Statt einem externen oder weniger vertrauenswürdigen Netz einen Weg in das Tier-0-Segment zu eröffnen, initiiert eine Komponente innerhalb des geschützten Bereichs die benötigte Verbindung nach außen.
Damit lässt sich der erreichbare Angriffsweg weiter reduzieren.
Sitzungsaufzeichnung schafft Nachvollziehbarkeit
Bei privilegierten Zugriffen reicht es nicht immer aus zu wissen, wer sich wann angemeldet hat. Im Ernstfall ist entscheidend, was während einer administrativen Sitzung tatsächlich geschehen ist.
Die Sitzungsaufzeichnung von Kyvion Secure Access kann deshalb ein wichtiger Baustein einer PAM-orientierten Architektur sein. Administrative Zugriffe lassen sich nachvollziehbarer gestalten, insbesondere wenn externe Dienstleister oder besonders privilegierte Benutzer auf kritische Systeme zugreifen.
Die Aufzeichnung ersetzt weder ein SIEM noch ein vollständiges Privileged-Access-Management-System. Sie adressiert jedoch eine zentrale Frage privilegierter Zugriffe: Was ist während der Sitzung passiert?
Für viele mittelständische Unternehmen ist genau diese Transparenz wesentlich praktikabler als die Einführung einer umfangreichen PAM-Plattform mit zahlreichen Komponenten und entsprechendem Betriebsaufwand.
Tier 0 bedeutet nicht automatisch Großprojekt
Viele Sicherheitskonzepte für privilegierte Infrastrukturen stammen aus großen Enterprise-Umgebungen. Dort existieren dedizierte Admin-Workstations, Bastion Hosts, PAM-Plattformen, getrennte Management-Netze und umfangreiche Identity-Security-Lösungen.
Diese Konzepte haben ihre Berechtigung. Für ein mittelständisches Unternehmen mit wenigen Administratoren können sie jedoch schnell unverhältnismäßig komplex werden.
Die grundlegenden Sicherheitsprinzipien lassen sich auch mit einer wesentlich schlankeren Architektur umsetzen.
Direkte administrative Verbindungen werden reduziert. Kritische Systeme werden segmentiert. Administratoren erhalten nur Zugriff auf die Ressourcen, die sie tatsächlich benötigen. Externe Dienstleister bekommen keinen pauschalen Netzwerkzugang. Administrative Sitzungen können kontrolliert und nachvollzogen werden. Besonders kritische Systeme müssen nicht direkt vom Arbeitsplatz erreichbar sein.
Damit wird aus dem abstrakten Begriff „Tier-0-Sicherheit“ ein konkretes technisches Konzept.
Der Browser kann zur Sicherheitsgrenze werden
Der entscheidende Gedanke ist überraschend einfach: Der Arbeitsplatz eines Administrators muss nicht zwangsläufig Bestandteil der administrativen Verbindung zum Zielsystem sein.
Der Browser kann als Bedienoberfläche dienen, während Kyvion Secure Access die eigentliche Verbindung zum Zielsystem übernimmt.
Dadurch lässt sich die Anzahl direkter Kommunikationsbeziehungen innerhalb der Infrastruktur reduzieren. Gleichzeitig können Unternehmen bestehende Systeme weiterverwenden. Ein Windows-Server bleibt ein Windows-Server, eine Linux-Maschine bleibt per SSH administrierbar und eine interne Managementoberfläche muss nicht für das Internet veröffentlicht werden.
Es wird lediglich verändert, wie Benutzer diese Systeme erreichen.
Gerade für mittelständische Unternehmen kann darin der entscheidende Vorteil liegen. Tier-0-Sicherheit muss nicht zwangsläufig bedeuten, eine komplett neue Security-Plattform einzuführen. Häufig ist es wirkungsvoller, zunächst die gefährlichsten direkten Zugriffswege zu beseitigen.
Fazit: Wer Tier 0 schützen will, muss den administrativen Zugriff schützen
Die Sicherheit eines Tier-0-Netzwerks entscheidet sich nicht allein an der Firewall vor dem Domain Controller. Sie beginnt wesentlich früher – am Arbeitsplatz des Administrators und bei der Frage, welchen Weg eine privilegierte Sitzung durch die Infrastruktur nimmt.
Je weniger Systeme direkt mit Tier 0 kommunizieren dürfen, desto kleiner wird die Angriffsfläche. Je gezielter administrative Berechtigungen vergeben werden, desto geringer werden unnötige Vertrauensbeziehungen. Und je besser privilegierte Sitzungen nachvollzogen werden können, desto größer wird die Kontrolle über besonders kritische Zugriffe.
Kyvion Secure Access kann dabei als kontrollierte Zugriffsschicht zwischen Administrator und kritischer Infrastruktur eingesetzt werden. RDP, SSH, VNC und webbasierte Managementsysteme werden über den Browser erreichbar, ohne dass der Arbeitsplatz einen direkten administrativen Zugang zum Zielsystem benötigt.
Tier 0 abzusichern bedeutet deshalb nicht, noch eine weitere Sicherheitsschicht auf eine ohnehin komplexe Infrastruktur zu setzen. Es bedeutet vor allem, unnötige Wege zu den wichtigsten Systemen konsequent zu schließen.
